API Key 安全使用清单

API Key 等同于你账号的密码：谁拿到它，谁就能以你的名义调用服务，并消耗你的额度。密钥泄露后的损失往往来得很快，所以预防比补救重要得多。

密钥该放在哪里

• 用环境变量或密钥管理工具保存，不要写在源代码里。
• 本地开发可以用 .env 文件，但务必把它加入 .gitignore，保证不会被提交。
• 持续集成（CI）里使用平台提供的加密变量功能，不要把密钥写进脚本或配置文件。

# .env（不要提交到代码仓库）
API_KEY=把你的密钥放在这里

# .gitignore
.env

# Python 里读取
import os
key = os.environ["API_KEY"]

哪些地方不要出现密钥

• 前端代码、小程序和手机应用：里面的内容任何人都能看到。需要调用时，让你自己的服务端保管密钥并转发请求，同时加上登录校验和用量限制。
• 聊天、论坛、工单和截图：贴报错信息或配置前，先把密钥遮住。屏幕录制和直播也一样。
• 日志和监控平台：请求头里的 Authorization 要在记录前脱敏。
• 公开的代码仓库：即使你随后删除了文件，密钥仍会留在提交历史里。

日常管理

• 一个项目一把密钥。出问题时可以只作废一把，也能看出是哪个项目在用。
• 尽量最小权限。平台支持限制权限、来源地址或额度时，都设上。
• 设置用量上限和告警。异常的消耗往往是泄露的第一个信号。
• 定期更换。人员变动、换电脑、项目交接时都应当轮换。
• 别通过聊天软件和邮件明文传递。共享给同事时使用密码管理器或平台自带的共享功能。

不小心泄露了，怎么办

1. 立刻作废并重置。先止损，再调查。不要因为「应该没人看到」而拖延。
2. 查看用量和日志。确认泄露期间是否有异常调用。
3. 清理现场。从代码、文档和聊天记录里移除；对于已经提交的仓库，重写历史只能减少暴露，不能代替更换密钥。
4. 通知相关的人。如果是团队共用的密钥，及时同步新密钥的获取方式。
5. 复盘并加防护。可以启用平台的密钥扫描功能，或在提交前用扫描工具检查。